Diese Seite wurde von der Cloud Translation API übersetzt.

Cloud Storage-Kontextlogs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Cloud Storage-Kontextlogs mithilfe von Cloud Storage exportieren und in Google Security Operations aufnehmen. Der Parser bereinigt und strukturiert eingehende JSON-Daten aus Cloud Storage-Logs. Anschließend werden relevante Felder dem einheitlichen Datenmodell (Unified Data Model, UDM) zugeordnet und die Daten werden mit Labels und Metadaten angereichert, um eine einheitliche Darstellung und Analyse im Sicherheitsökosystem zu ermöglichen.

Hinweise

Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:

Google SecOps-Instanz.
Cloud Storage ist in Ihrer Google Cloud Umgebung eingerichtet und aktiv.
Privilegierter Zugriff auf Google Cloud und entsprechende Berechtigungen.

Cloud Storage-Bucket erstellen

Melden Sie sich in der Google Cloud -Konsole an.
Rufen Sie die Seite Cloud Storage-Buckets auf.

Buckets aufrufen
Klicken Sie auf Erstellen.
Geben Sie auf der Seite Bucket erstellen die Bucket-Informationen ein. Klicken Sie nach jedem der folgenden Schritte auf Weiter, um mit dem nächsten Schritt fortzufahren:
1. Führen Sie im Abschnitt Einstieg die folgenden Schritte aus:
  1. Geben Sie einen eindeutigen Namen ein, der den Anforderungen für Bucket-Namen entspricht, z. B. google-storage-context-logs.
  2. Wenn Sie den hierarchischen Namespace aktivieren möchten, klicken Sie auf den Maximierungspfeil, um den Bereich Für dateiorientierte und datenintensive Arbeitslasten optimieren zu maximieren, und wählen Sie dann Hierarchischen Namespace für diesen Bucket aktivieren aus.
    
    Hinweis: Sie können den hierarchischen Namespace nicht in einem vorhandenen Bucket aktivieren.
  3. Wenn Sie ein Bucket-Label hinzufügen möchten, klicken Sie auf den Erweiterungspfeil, um den Abschnitt Labels zu maximieren.
  4. Klicken Sie auf Label hinzufügen und geben Sie einen Schlüssel und einen Wert für das Label an.
2. Gehen Sie im Bereich Speicherort für Daten auswählen so vor:
  1. Standorttyp auswählen.
  2. Wählen Sie im Menü für den Standorttyp einen Speicherort aus, an dem die Objektdaten in Ihrem Bucket dauerhaft gespeichert werden sollen.
    
    Hinweis :Wenn Sie den Standorttyp Dual-Region auswählen, können Sie auch die Turboreplikation aktivieren, indem Sie das entsprechende Kästchen anklicken.
  3. Wenn Sie die Bucket-übergreifende Replikation einrichten möchten, maximieren Sie den Bereich Bucket-übergreifende Replikation einrichten.
3. Wählen Sie im Abschnitt Speicherklasse für Ihre Daten auswählen entweder eine Standardspeicherklasse für den Bucket oder Autoclass für die automatische Verwaltung der Speicherklassen Ihrer Bucket-Daten aus.
4. Wählen Sie im Abschnitt Zugriff auf Objekte steuern die Option nicht aus, um die Verhinderung des öffentlichen Zugriffs zu erzwingen, und wählen Sie ein Zugriffssteuerungsmodell für die Objekte Ihres Buckets aus.
  
  Hinweis: Wenn die Verhinderung des öffentlichen Zugriffs bereits durch die Organisationsrichtlinie Ihres Projekts erzwungen wird, ist das Kästchen Öffentlichen Zugriff verhindern gesperrt.
5. Gehen Sie im Bereich Auswählen, wie Objektdaten geschützt werden so vor:
  1. Wählen Sie unter Datenschutz die gewünschten Optionen für Ihren Bucket aus.
  2. Um auszuwählen, wie Ihre Objektdaten verschlüsselt werden, klicken Sie auf den Erweiterungspfeil mit dem Label Datenverschlüsselung und wählen Sie eine Datenverschlüsselungsmethode aus.
Klicken Sie auf Erstellen.

Export von Kontextlogs in Cloud Storage konfigurieren

Melden Sie sich in der Google Cloud -Konsole an.
Rufen Sie Logging > Log Router auf.
Klicken Sie auf Senke erstellen.
Geben Sie die folgenden Konfigurationsparameter an:
- Name der Senke: Geben Sie einen aussagekräftigen Namen ein, z. B. Storage-Context-Sink.
- Sink Destination (Ziel für Senke): Wählen Sie Cloud Storage Storage (Cloud Storage) aus und geben Sie den URI für Ihren Bucket ein, z. B. gs://google-storage-context-logs.
- Log Filter (Log-Filter):
```
logName="*storage*"
resource.type="gcs_bucket"
```
Klicken Sie auf Erstellen.

Berechtigungen für Cloud Storage konfigurieren

Rufen Sie IAM & Verwaltung > IAM auf.
Suchen Sie das Cloud Logging-Dienstkonto.
Weisen Sie dem Bucket die Rolle roles/storage.admin zu.

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte zum Einrichten von Feeds in der Google SecOps-Plattform:

SIEM-Einstellungen > Feeds
Content Hub> Content-Pakete

Feeds über „SIEM-Einstellungen“ > „Feeds“ einrichten

So konfigurieren Sie einen Feed:

Rufen Sie die SIEM-Einstellungen > Feeds auf.
Klicken Sie auf Neuen Feed hinzufügen.
Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Cloud Storage-Kontextprotokolle.
Wählen Sie Google Cloud Storage als Quelltyp aus.
Wählen Sie GCP Google Cloud Storage-Kontext als Logtyp aus.
Klicken Sie neben dem Feld Chronicle-Dienstkonto auf Dienstkonto abrufen.
Klicken Sie auf Weiter.
Geben Sie Werte für die folgenden Eingabeparameter an:
- Storage-Bucket-URI: Cloud Storage-Bucket-URL, z. B. gs://google-storage-context-logs.
- URI Is A (URI ist ein): Wählen Sie Directory which includes subdirectories (Verzeichnis mit Unterverzeichnissen) aus.
- Optionen zum Löschen der Quelle: Wählen Sie die gewünschte Option aus.
  
  Hinweis: Wenn Sie die Option Delete transferred files oder Delete transferred files and empty directories auswählen, müssen Sie dem Dienstkonto die entsprechenden Berechtigungen erteilen.
Klicken Sie auf Weiter.
Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Feeds über den Content Hub einrichten

Geben Sie Werte für die folgenden Felder an:

Storage-Bucket-URI: Cloud Storage-Bucket-URL, z. B. gs://google-storage-context-logs.
URI Is A (URI ist ein): Wählen Sie Directory which includes subdirectories (Verzeichnis mit Unterverzeichnissen) aus.
Optionen zum Löschen der Quelle: Wählen Sie die gewünschte Option aus.

Erweiterte Optionen

Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
Quelltyp: Methode, die zum Erfassen von Logs in Google SecOps verwendet wird.
Asset-Namespace: Der Namespace, der dem Feed zugeordnet ist.
Aufnahmelabels: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
Vorgänger	event.idm.entity.entity.resource.attribute.labels.value	Der übergeordnete Wert wird aus dem Array „ancestors“ im Rohlog extrahiert.
assetType	event.idm.entity.entity.resource.type	Direkt aus dem Feld „assetType“ im Rohlog zugeordnet.
insertId	event.idm.entity.metadata.product_entity_id	Direkt aus dem Feld „insertId“ im Rohlog zugeordnet.
labels.compute.googleapis.com/resource_name	event.idm.entity.entity.resource.name	Direkt aus dem Feld „labels.compute.googleapis.com/resource_name“ im Rohlog abgeleitet.
labels.k8s-pod/controller-revision-hash	event.idm.entity.entity.file.sha1	Direkt aus dem Feld „labels.k8s-pod/controller-revision-hash“ im Rohlog zugeordnet.
labels.k8s-pod/name	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „labels.k8s-pod/name“ im Rohlog zugeordnet.
labels.k8s-pod/pod-template-generation	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „labels.k8s-pod/pod-template-generation“ im Rohlog zugeordnet.
logName	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „logName“ im Rohlog zugeordnet.
Name	event.idm.entity.entity.resource.name	Direkt aus dem Namensfeld im Rohlog zugeordnet.
receiveTimestamp	event.idm.entity.entity.resource.attribute.creation_time	Aus dem Feld „receiveTimestamp“ im Rohlog in das Zeitstempelformat konvertiert.
resource.data.iamConfiguration.publicAccessPrevention	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „resource.data.iamConfiguration.publicAccessPrevention“ im Rohlog zugeordnet.
resource.data.id	event.idm.entity.entity.resource.product_object_id	Direkt aus dem Feld „resource.data.id“ im Rohlog zugeordnet.
resource.data.kind	event.idm.entity.entity.resource.type	Direkt aus dem Feld „resource.data.kind“ im Rohlog zugeordnet.
resource.data.labels.app_id	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „resource.data.labels.app_id“ im Rohlog zugeordnet.
resource.data.labels.app_name	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „resource.data.labels.app_name“ im Rohlog zugeordnet.
resource.data.labels.bucket_id	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „resource.data.labels.bucket_id“ im Rohlog zugeordnet.
resource.data.labels.data_classification	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „resource.data.labels.data_classification“ im Rohlog zugeordnet.
resource.data.labels.dept_name	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „resource.data.labels.dept_name“ im Rohlog zugeordnet.
resource.data.labels.dept_no	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „resource.data.labels.dept_no“ im Rohlog zugeordnet.
resource.data.labels.environment	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „resource.data.labels.environment“ im Rohlog zugeordnet.
resource.data.labels.goog-composer-environment	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „resource.data.labels.goog-composer-environment“ im Rohlog zugeordnet.
resource.data.labels.goog-composer-location	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „resource.data.labels.goog-composer-location“ im Rohlog zugeordnet.
resource.data.labels.goog-composer-version	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „resource.data.labels.goog-composer-version“ im Rohlog zugeordnet.
resource.data.labels.technical_contact	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „resource.data.labels.technical_contact“ im Rohlog zugeordnet.
resource.data.labels.type	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „resource.data.labels.type“ im Rohlog zugeordnet.
resource.data.location	event.idm.entity.entity.location.name	Direkt aus dem Feld „resource.data.location“ im Rohlog zugeordnet.
resource.data.projectNumber	event.idm.entity.entity.resource.attribute.cloud.project.id	Direkt aus dem Feld „resource.data.projectNumber“ im Rohlog zugeordnet.
resource.data.selfLink	event.idm.entity.entity.url	Direkt aus dem Feld „resource.data.selfLink“ im Rohlog zugeordnet.
resource.data.timeCreated	event.idm.entity.entity.resource.attribute.creation_time	Aus dem Feld „resource.data.timeCreated“ im Rohlog in das Zeitstempelformat konvertiert.
resource.data.updated	event.idm.entity.entity.resource.attribute.last_update_time	Aus dem Feld „resource.data.updated“ im Rohlog in das Zeitstempelformat konvertiert.
resource.discoveryDocumentUri	event.idm.entity.entity.file.full_path	Direkt aus dem Feld „resource.discoveryDocumentUri“ im Rohlog zugeordnet.
resource.labels.cluster_name	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „resource.labels.cluster_name“ im Rohlog zugeordnet.
resource.labels.container_name	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „resource.labels.container_name“ im Rohlog abgeleitet.
resource.labels.location	event.idm.entity.entity.location.name	Direkt aus dem Feld „resource.labels.location“ im Rohlog zugeordnet.
resource.labels.namespace_name	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „resource.labels.namespace_name“ im Rohlog abgeleitet.
resource.labels.pod_name	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „resource.labels.pod_name“ im Rohlog zugeordnet.
resource.labels.project_id	event.idm.entity.entity.resource.attribute.cloud.project.id	Direkt aus dem Feld „resource.labels.project_id“ im Rohlog zugeordnet.
resource.parent	event.idm.entity.entity.resource.parent	Direkt aus dem Feld „resource.parent“ im Rohlog zugeordnet.
resource.type	event.idm.entity.entity.resource.type	Direkt aus dem Feld „resource.type“ im Rohlog zugeordnet.
resource.version	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „resource.version“ im Rohlog zugeordnet.
textPayload	event.idm.entity.entity.resource.attribute.labels.value	Direkt aus dem Feld „textPayload“ im Rohlog zugeordnet.
–	event.idm.entity.metadata.collected_timestamp	Der erfasste Zeitstempel ist der Zeitstempel des Logeintrags.
–	event.idm.entity.metadata.entity_type	Hartcodiert auf `RESOURCE`.
–	event.idm.entity.metadata.product_name	Hartcodiert auf `GCP Storage Context`.
–	event.idm.entity.metadata.vendor_name	Hartcodiert auf `Google Cloud Platform`.
–	event.idm.entity.entity.resource.attribute.cloud.environment	Hartcodiert auf `GOOGLE_CLOUD_PLATFORM`.
–	event.idm.entity.entity.resource.resource_type	Hartcodiert auf `STORAGE_BUCKET`.
–	event.timestamp	Der Ereigniszeitstempel ist der Zeitstempel des Logeintrags.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten